PHP实现带附件邮件发送至Gmail的优化与安全实践

<form method="post" name="uploadproof" id="uploadproof" enctype="multipart/form-data">
    <input type="hidden" id="wrap" name="wrap" value="upload" />
    <input type="hidden" id="userid" name="userid" value="<?php echo htmlspecialchars($valid_user_id); ?>" /> 

    <label for="images">选择文件:</label>
    <input type="file" id="images" name="images[]" multiple="multiple" accept=".png,.jpg,.jpeg"/>   

    <input type="submit" id="upload" name="upload" class="send" value="上传并发送" style="float: none;padding:10px;" />
    <span id="load"></span>
    <br />
</form>

<?php
// 引入PHPMailer库
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;

require 'vendor/autoload.php'; // 根据您的Composer安装路径调整

// 假设 $valid_user_id 和 $row['emailid'], $row['fname'], $row['mobile'], $row['country'] 已通过数据库查询获取
// 这里仅为示例，实际应从数据库安全获取
$valid_user_id = 'user123'; 
$row = [
    'emailid' => 'customer@example.com',
    'fname' => 'John',
    'mobile' => '1234567890',
    'country' => 'USA'
];

$email = $row['emailid'] ?? 'unknown@example.com';
$name = $row['fname'] ?? '未知用户';
$mobile = $row['mobile'] ?? 'N/A';
$country = $row['country'] ?? 'N/A';

$statusMsg = '';
$msgClass = 'errordiv';

if (isset($_POST['upload'])) {
    $uploadStatus = 1;
    $allowedImageTypes = ['jpg', 'png', 'jpeg'];
    $maxFileSize = 5 * 1024 * 1024; // 5MB

    $uploadedFiles = []; // 存储所有通过验证的文件信息

    // 检查是否有文件上传
    if (!empty($_FILES['images']['name'][0])) {
        foreach ($_FILES['images']['name'] as $key => $fileName) {
            $tmpName = $_FILES['images']['tmp_name'][$key];
            $fileSize = $_FILES['images']['size'][$key];
            $fileError = $_FILES['images']['error'][$key];
            $fileType = strtolower(pathinfo($fileName, PATHINFO_EXTENSION));
            $mimeType = mime_content_type($tmpName); // 获取MIME类型

            if ($fileError !== UPLOAD_ERR_OK) {
                $statusMsg = "文件 '{$fileName}' 上传失败，错误码: {$fileError}";
                $uploadStatus = 0;
                break;
            }

            // 1. 验证文件扩展名
            if (!in_array($fileType, $allowedImageTypes)) {
                $statusMsg = "文件 '{$fileName}' 扩展名不允许。只允许JPG, JPEG, PNG。";
                $uploadStatus = 0;
                break;
            }

            // 2. 验证MIME类型
            $allowedMimeTypes = ['image/jpeg', 'image/png'];
            if (!in_array($mimeType, $allowedMimeTypes)) {
                $statusMsg = "文件 '{$fileName}' MIME类型不允许。只允许JPEG, PNG图片。";
                $uploadStatus = 0;
                break;
            }

            // 3. 验证文件大小
            if ($fileSize > $maxFileSize) {
                $statusMsg = "文件 '{$fileName}' 过大。最大允许 {$maxFileSize / (1024 * 1024)}MB。";
                $uploadStatus = 0;
                break;
            }

            // 4. 图像特有验证 (使用getimagesize)
            $imageInfo = @getimagesize($tmpName);
            if ($imageInfo === false || !in_array($imageInfo[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG])) {
                $statusMsg = "文件 '{$fileName}' 不是有效的图像文件。";
                $uploadStatus = 0;
                break;
            }

            // 如果所有验证通过，将文件信息添加到待发送列表
            $uploadedFiles[] = ['path' => $tmpName, 'name' => $fileName];
        }
    } else {
        $statusMsg = '请选择要上传的文件。';
        $uploadStatus = 0;
    }

    if ($uploadStatus == 1) {
        $mail = new PHPMailer(true); // 启用异常
        try {
            // 服务器设置 (使用SMTP发送，更可靠)
            // $mail->isSMTP();
            // $mail->Host       = 'smtp.example.com'; // 您的SMTP服务器
            // $mail->SMTPAuth   = true;
            // $mail->Username   = 'your_email@example.com'; // SMTP用户名
            // $mail->Password   = 'your_password'; // SMTP密码
            // $mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS; // 或 PHPMailer::ENCRYPTION_SMTPS
            // $mail->Port       = 587; // 或 465

            // 使用PHP的mail()函数（如果您的服务器已正确配置）
            $mail->isMail(); 

            // 收件人
            $mail->setFrom('sender@example.com', 'ECZ Members KYC'); // 发件人邮箱和名称
            $mail->addAddress('recipient@gmail.com');     // 收件人Gmail地址

            // 内容
            $mail->isHTML(true);                                  // 设置邮件格式为HTML
            $mail->Subject = 'KYC Request Submitted by ' . $name;
            $mail->Body    = '<h2>联系请求已提交</h2>
                              <p><b>姓名:</b> ' . htmlspecialchars($name) . '</p>
                              <p><b>邮箱:</b> ' . htmlspecialchars($email) . '</p>
                              <p><b>手机:</b> ' . htmlspecialchars($mobile) . '</p>
                              <p><b>国家:</b> ' . htmlspecialchars($country) . '</p>
                              <p><b>主题:</b> ' . htmlspecialchars($_POST['subject'] ?? '无') . '</p>
                              <p><b>消息:</b><br/>' . nl2br(htmlspecialchars($_POST['message'] ?? '无')) . '</p>';
            $mail->AltBody = '这是一个纯文本邮件内容，用于不支持HTML的邮件客户端。';

            // 添加附件
            foreach ($uploadedFiles as $file) {
                $mail->addAttachment($file['path'], $file['name']); // 临时文件路径和原始文件名
            }

            $mail->send();
            $statusMsg = '您的联系请求已成功提交，文件已发送！';
            $msgClass = 'succdiv';

            // 邮件发送成功后，临时文件会被PHP自动删除。
            // 如果使用move_uploaded_file()将文件移动到其他地方，则需要手动unlink。

        } catch (Exception $e) {
            $statusMsg = "邮件发送失败。Mailer Error: {$mail->ErrorInfo}";
        }
    }
}
?>

<!DOCTYPE html>
<html lang="zh">
<head>
    <meta charset="UTF-8">
    <title>文件上传与邮件发送</title>
    <style>
        .succdiv { color: green; }
        .errordiv { color: red; }
    </style>
</head>
<body>
    <div class="<?php echo $msgClass; ?>">
        <?php echo $statusMsg; ?>
    </div>
    <!-- 这里放置上面定义的HTML表单 -->
</body>
</html>